ISA 402 — שיקולי ביקורת בנוגע לישות המשתמשת בארגון שירות

סקירה

תקן ISA 402 עוסק באחריות מבקר הישות המשתמשת (User Auditor) להשיג ראיות ביקורת נאותות ומספיקות כאשר הישות המבוקרת מעבירה (outsourcing) חלק מתהליכיה לארגון שירות חיצוני (Service Organization) — למשל מיקור-חוץ של הנהלת חשבונות, שכר, ניהול השקעות, סליקת תשלומים או אירוח מערכות מידע. העיקרון: עצם השימוש בארגון שירות אינו גורע מאחריות המבקר; שירותים שהם חלק ממערכת המידע של הישות הרלוונטית לדיווח כספי (כולל הבקרה הפנימית) הם בתחום הביקורת גם כשהם מבוצעים מחוץ לישות. התקן מיישם ומרחיב את ISA 315 (זיהוי והערכת סיכונים) ואת ISA 330 (תגובות לסיכונים) להקשר זה. שתי המטרות (סעיף 7): (א) להשיג הבנה של מהות ומשמעות השירותים והשפעתם על הבקרה הפנימית של הישות הרלוונטית לביקורת, ברמה מספקת לזיהוי והערכת סיכוני הטעיה מהותית; ו-(ב) לתכנן ולבצע נהלי ביקורת המגיבים לסיכונים אלה. הגדרות מפתח (סעיף 8): ארגון שירות; ארגון שירות-משנה (Subservice); מבקר הישות; מבקר השירות (Service Auditor); בקרות משלימות של הישות (Complementary User Entity Controls); דוח סוג 1 (תיאור ותכן הבקרות במועד מסוים); ודוח סוג 2 (תיאור, תכן ואפקטיביות תפעולית לאורך תקופה). מבקר השירות פועל לפי ISAE 3402. תפקיד התקן בביקורת: לגשר על פער הראיות הנוצר כשבקרות מהותיות מתבצעות אצל גורם שאינו בשליטת הישות, ולקבוע מתי וכיצד ניתן להסתמך על עבודת מבקר השירות.

נקודות מפתח

• 1מטרות והיקף (סעיפים 1-3, 7): התקן חל כאשר הישות משתמשת בארגון שירות שהשירותים שלו הם חלק ממערכת המידע הרלוונטית לדיווח הכספי. הוא אינו חל על שירותים שאינם משפיעים על הדיווח הכספי (למשל ארוחות לעובדים) ואינו חל כשהישות עצמה אחראית לעיבוד ולבקרות והשירות מוגבל לביצוע עסקאות לפי הוראה מפורשת בלבד (סעיף 4).
• 2השגת הבנה (סעיפים 9-11): המבקר חייב להבין כיצד הישות משתמשת בשירותים — מהות השירותים, מהותיות העסקאות המעובדות, מידת האינטראקציה בין הישות לארגון השירות, וטיב הקשר החוזי — וכן את הבקרות הרלוונטיות בישות עצמה. אם ההבנה אינה מספקת מתוך הישות, המבקר נדרש להרחיב את ההבנה אל ארגון השירות.
• 3נהלים להשגת ההבנה (סעיף 12): המבקר רשאי, לחוד או בשילוב — (א) להשיג ולהשתמש בדוח סוג 1 או סוג 2 (אם קיים); (ב) לפנות לארגון השירות באמצעות הישות; (ג) לבקר פיזית בארגון השירות ולבצע נהלים; או (ד) להעסיק מבקר אחר שיבצע עבורו נהלים. דוח סוג 1 אינו מספק ראיה על אפקטיביות תפעולית של בקרות.
• 4הסתמכות על דוח סוג 1 / סוג 2 (סעיפים 13-14): בטרם הסתמכות על הדוח, המבקר חייב להניח את דעתו לגבי כשירותו ואי-תלותו של מבקר השירות; להעריך האם הדוח מתאים למועד/לתקופה הרלוונטיים לו; ולהעריך את מספיקות הראיות לצורך הבנת הבקרה הפנימית של הישות.
• 5בקרות משלימות של הישות (Complementary Controls) (סעיף 14): המבקר חייב לקבוע אם ארגון השירות זיהה בקרות משלימות שעל הישות ליישם כדי שיעדי הבקרה יושגו, ואם כן — לברר אם הישות אכן תכננה ויישמה אותן. בקרות אלה הן מלכודת תכופה: יעדי הבקרה אצל ארגון השירות מושגים רק בשילוב עם בקרות אצל הישות.
• 6תגובה לסיכונים שהוערכו ובדיקות בקרה (סעיפים 15-17): כאשר הערכת המבקר מניחה שבקרות בארגון השירות פועלות אפקטיבית, עליו להשיג ראיות על אפקטיביות תפעולית. דוח סוג 2 יכול לספק ראיה זו, ובלבד שתקופת הדוח רלוונטית, שמבקר השירות תיאר את בדיקות הבקרה ותוצאותיהן, ושהמבקר מעריך את מספיקות הזמן שחלף מאז. ניתן גם לבצע בדיקות בארגון השירות או להעסיק לכך מבקר אחר.
• 7ארגון שירות-משנה (Subservice): כאשר ארגון השירות עצמו נעזר בארגון משנה, המבקר נדרש לטפל בכך — בשיטת ההכללה (Inclusive, שירות-המשנה כלול בדוח ובהיקפו) או בשיטת ההחרגה (Carve-out, שבה נהלי התקן מוחלים מחדש על ארגון השירות-המשנה הנותר מחוץ להיקף).
• 8תרמית, אי-ציות לחוקים והטעיות שלא תוקנו (סעיף 19): המבקר חייב לברר אצל ההנהלה אם הישות מודעת לתרמיות, אי-ציות לדינים, או הטעיות שלא תוקנו המשפיעות על הדוחות, הנובעים מפעילות בארגון השירות, ולהעריך את השפעתם על נהלי הביקורת ועל מסקנותיו.
• 9דיווח על-ידי מבקר הישות (סעיפים 20-22): אם המבקר אינו משיג ראיות נאותות ומספיקות — מדובר בהגבלת היקף ועליו לשנות את חוות דעתו (סעיף 20). חוות דעת בלתי-מסויגת לא תכלול הפניה לעבודת מבקר השירות אלא אם נדרש בדין; אם בכל זאת נדרשת הפניה, יובהר שאין בה כדי לגרוע מאחריותו של מבקר הישות לחוות דעתו (סעיפים 21-22) — עיקרון 'אי-חלוקת אחריות'.

תקנים קשורים